Μια καταστροφική κυβερνοεπίθεση διαγραφής δεδομένων έπληξε ουκρανική εταιρεία logistics, αποκαλύπτοντας τη στενή συνεργασία μεταξύ των ρωσικών ομάδων Sandworm και UAC-0099.
Η αρχική παραβίαση πραγματοποιήθηκε τον Ιούλιο του 2025 μέσω ηλεκτρονικού ψαρέματος με κακόβουλο συνημμένο, το οποίο οδήγησε στην εγκατάσταση του λογισμικού MATCHWOK. Αφού διατήρησαν την πρόσβαση στο σύστημα για περισσότερους από δύο μήνες, οι εισβολείς μεταβίβασαν τον έλεγχο στη Sandworm, η οποία προχώρησε στη μαζική διαγραφή δεδομένων χρησιμοποιώντας το εργαλείο SDelete μέσω πολιτικών του Active Directory.
Το backdoor MythicRatatoskr και το δίκτυο Yggdrasil
Το πλέον ανησυχητικό στοιχείο της επιχείρησης ήταν η χρήση ενός πρωτοεμφανιζόμενου λογισμικού με την ονομασία MythicRatatoskr.
Το συγκεκριμένο εργαλείο επικοινωνεί με έναν εξυπηρετητή διοίκησης που φιλοξενείται στο αποκεντρωμένο πλέγμα Yggdrasil, προσφέροντας αυξημένη ανωνυμία και ανθεκτικότητα στην υποδομή των επιτιθέμενων.
Πρόκειται για την πρώτη τεκμηριωμένη περίπτωση όπου κρατικά κατευθυνόμενοι κυβερνοεγκληματίες αξιοποιούν το συγκεκριμένο δίκτυο. Το λογισμικό έχει τη δυνατότητα να συλλέγει μεταδεδομένα, να λαμβάνει στιγμιότυπα οθόνης, να μεταφέρει αρχεία και να δημιουργεί διακομιστές μεσολάβησης, ενώ διαθέτει ενσωματωμένη καθυστέρηση εκκίνησης για την αποφυγή ανίχνευσης.
Συντονισμός και κλιμάκωση απειλών
Η συγκεκριμένη επίθεση επιβεβαιώνει ένα ευρύτερο μοτίβο συντονισμένης δράσης μεταξύ ρωσικών ομάδων κυβερνοκατασκοπείας. Η τακτική κατά την οποία μια ομάδα αναλαμβάνει την αρχική διείσδυση και στη συνέχεια παραδίδει τον στόχο σε άλλη για την εκτέλεση καταστροφικών ενεργειών ενισχύει τον συνολικό επιχειρησιακό αντίκτυπο των επιθέσεων.
Παράλληλα, αναφορές στον κώδικα υποδεικνύουν την πιθανή ύπαρξη εκδόσεων του λογισμικού που στοχεύουν και λειτουργικά συστήματα Linux.
